GDPR-regelverket - lagring av informasjon

Jeg har satt meg en del inn i dette selv ifm jobb, men kom innom en situasjon privat nå der korpset hevder at de ikke har lov å lagre inne i sine oversikter at lillesøster har cøliaki. Det betyr at jeg må si fra hver eneste gang. Det skal jeg alltids klare, men jeg kjenner at jeg stusser. Dette er jo ikke spesielt sensitiv informasjon slik jeg ser det. Vil det altså ikke være mulig for organisasjoner å lagre noe som helst rundt barn som ikke tåler enkle matvarer for eksempel?

Cøliaki er å ansjå som ei helseopplysning og dermed i kategorien sensitiv personopplysning. Så lenge korpset har eit stadig formål med å oppbevare den, for eksempel at det blir servert mat på kvar øving, så kan dei oppbevare denne opplysninga. Om dei skal oppbevare den som generell informasjon kan dei ikkje det.

Som arbeidsgivar kan eg oppbevare opplysning om at nokon har cøliaki eller nøtteallergi til for eksempel julebordet er avholdt. Etter det må denne opplysninga slettast.

Det Tussa sa. Det er helseopplysninger, og dermed i en helt annen kategori enn alt mulig annet man lagrer i et korps.

Takk for svar. Det er jo uproblematisk altså. Jeg synes bare det er upraktisk og tenker at jeg føler at jeg maser når jeg da opplyser 4 ganger i halvåret eller hva det blir at hun har cøliaki.

Men, er det ikke noe med at et samtykke trumfer dette? Hvis en samtykker til at denne opplysningen kan lagres på ubestemt tid, så er det greit likevel?

Du kan vel ikke samtykke til at noe lagres på ubestemt tid? Det må være tidsbegrenset. Men hvis man sier "du kan lagre dette i fire år" eller noe sånt så er det greit, selvom det er sensitiv informasjon.

Bilder er forøvrig også sensistiv informasjon, så kan de lagre det bør de kunne lagre allergi-informasjon også.

Neket skrev:

Du kan vel ikke samtykke til at noe lagres på ubestemt tid? Det må være tidsbegrenset. Men hvis man sier "du kan lagre dette i fire år" eller noe sånt så er det greit, selvom det er sensitiv informasjon.

Bilder er forøvrig også sensistiv informasjon, så kan de lagre det bør de kunne lagre allergi-informasjon også.

Med ubestemt tid, tenkte jeg vel på til formålet er oppnådd, for eksempel at samtykket gjelder til hun slutter i korpset.

Eksplisitt samtykke funker for helseopplysninger.

Et bilde er ikke nødvendigvis det samme som en «sensitiv» personopplysning, nei.

GDPR, og gammel personopplysningslov, skiller mellom alminnelige og spesielle (sensitive) personopplysninger.

Hvis de lager en samtykkerklæring som dere underskriver er de innafor, så jeg vil tro de har løst det sånn som du skisserer for å minimere det administrative rundt å ha slike erklæringer. Forståelig nok i organisasjoner som drives hovedsakelig frivillig. Jeg må forøvrig også oppgi for hver gang, selv i en stor bedrift, så det er ganske vanlig å gjøre det på den måten, selv om det er upraktisk på mange vis.

Anda skrev:

Eksplisitt samtykke funker for helseopplysninger.

Et bilde er ikke nødvendigvis det samme som en «sensitiv» personopplysning, nei.

GDPR, og gammel personopplysningslov, skiller mellom alminnelige og spesielle (sensitive) personopplysninger.

I følge legal på jobben min så et bilder sensitive. Det er godt mulig de tar feil altså. Rase er jo sensitiv info under GDPR, så det kommer vel an på om man mener at man kan se det ut fra et bilde eller ei.

JEg oppgir diett ved påmelding til seminar med jobb hver gang. JEg forandrer ikek min allergi fra gang til gang men antar de ikke lagrer det da

I kropset ber vi om å få opplyst matallergier hver gang, men i praksis går det vel så mye på at vi vet. Vi er såpas få medlememr at jeg glemmer jo ikke at x og y ikke tåler melk (MELK) og at v og w ikke tåler laktose (og irriterer meg blå på at påmelding til spillehelg med oppgitt MELKeallergi ikke medfører at de har melkefri havregrøt, de har laktiosefri (kunne jo glatt kokt den på havremelk i stedet for laktosefri melk, så hadde den passet for alle allergikerene) De hadde mye laktosefritt, men hadde nok tolket melk som laktose.)

Altså, gprs kan ikke nekte meg å HUSKE denne informasjonen, det er ikke lagret andre steder enn i mitt hode, så klart, når jeg gir meg i styret er det ikke sikkert andre vet, men til gjenjeld er sikekrt ungene også byttet ut innen den tid, og all den tid vi er så få så husker vi det.

Men det lagres ikke noe sted nei, og bes opplyst ved påmelding.

Vi har lagret slike ting i Spond på kolonne for 3. foresatt. Evt kan man legge det i korpsdrift. Dette lagres så lenge barnet er med i korpset.

i den kolonnen har vi allergier, spesielle hensyn og hva foreldrene har sagt når det gjelder publisering av bilder osv.

Neket skrev:

I følge legal på jobben min så et bilder sensitive. Det er godt mulig de tar feil altså. Rase er jo sensitiv info under GDPR, så det kommer vel an på om man mener at man kan se det ut fra et bilde eller ei.

Det er en god del forvirring ute og går, men definisjonen på særlige kategorier personopplysning (som tidligere ble kalt sensitiv) er opplysninger om «rasemessig eller etnisk opprinnelse, politisk oppfatning, religion, filosofisk overbevisning eller fagforeningsmedlemskap, samt behandling av genetiske opplysninger og biometrisk opplysninger med det formål å entydig identifisere en fysisk person, helseopplysninger eller opplysninger om en persons seksuelle forhold eller seksuelle orientering».

Dermed vil jo innhold (og kontekst?) av bildet være relevant.

Disse kategoriene personopplysninger er det i utg pkt forbudt å behandle, med mindre et av unntakene er oppfylt, selvsagt. (GDPR art 9.)

Malama skrev:

Altså, gprs kan ikke nekte meg å HUSKE denne informasjonen, .

Autocorrupt?

Sir Limpalot skrev:

Autocorrupt?

Minst 🙂

Så lenge det er gjort en reell vurdering av hvorfor en opplysning er nødvendig, har man egentlig sitt på det tørre i forhold til tilsyn. Så lenge DU har gitt informasjonen, og er informert om at den er arkivert, er dette innenfor. Men det må altså gjøres en vurdering i hvert enkelt tilfelle. Så kan et tilsyn (fra datatilsynet) avdekke at vurderingen er FEIL, men da får man tid til å rette opp dette. Alt er litt panikkartet nå, fordi man (vanlige legfolk som meg) ikke helt skjønner rekkevidden av hvem og hva og hvorfor. Dette med hemmelig fagforeningstilhørighet, er for eksempel kjempetungvindt i bransjer hvor kontingenten trekkes over lønnseddelen, men kommer nok av at EUs medlemsland jevnt over ikke har det "åpne" 3-partssamarbeidet som vi er vant til her i landet.

Det handlar vel gjerne om at korpset ikkje har eit system for å handtere ulike samtykkeskjema. Dermed er det enklast for dei at du oppgir det frå gong til gong. Anleis for skulen, som heilt sikkert har eit system for handsaming av samtykkeskjema og informasjon av ulik karakter.

Harriet Vane skrev:

Vi har lagret slike ting i Spond på kolonne for 3. foresatt. Evt kan man legge det i korpsdrift. Dette lagres så lenge barnet er med i korpset.

i den kolonnen har vi allergier, spesielle hensyn og hva foreldrene har sagt når det gjelder publisering av bilder osv.

Men hvordan håndterer dere samtykkeskjemaene da? For at dere skal ha lov til å lagre dette?

Idrettsforbundet har lagt ut en norm for behandling av personopplysninger. Den kan ikke være så hakkende gale i forhold til behovene til et korps;
https://www.idrettsforbundet.no/nif-it/nif-it/informasjonssikkerhet/

Den er ikke helt oppdatert etter PVF (Personvernforordningen, som det jo tross alt heter på norsk ...), men ikke så langt unna. Den er basert på den O'store Normen (bransjenorm for infosikkerhet i helse og omsorgstjenesten) som Datatilsynet liker.

Vi bruker idrettsforbundets mal, ja. Det samme gjelder for bildebruk.

Det heter at personopplysninger skal innhentes, brukes og lagres for å oppfylle medlemsavtalen, og jfr. medlemsavtalen hos oss så skal barna få musikkopplæring og ha det trygt og godt på øving, seminar, reise og konsert. For å oppnå den tryggheten må vi kunne ha oppdatert oversikt over hvem som har hvilke behov (epilepsi, allergi, diabetes osv). Denne oversikten lagres i google docs på styrets mail. Vi anser det som trygt nok. Foreldrene har fylt ut skjema og svart på spørsmål og gitt tillatelse til at vi har denne typen informasjon.
Det er slik at man må balansere hensynet til barns privatliv opp mot hensynet til at barnet overlever korpsøvelsen.